Politique de confidentialité
Cette politique décrit comment le portail DPO de Relief Applications traite les données personnelles de ses utilisateurs. Elle concerne les données que nous traitons en tant que responsable de traitement (comptes, connexion, communications). Le traitement des données que votre organisation dépose dans le portail, pour lequel nous agissons comme sous-traitant, est régi par l'Accord de traitement des données (DPA).
1. Responsable du traitement
Relief Applications. Contact du DPO : dpo@reliefapplications.org. Voir aussi les mentions légales.
2. Données que nous traitons
- Identité & compte : nom, adresse email, organisation, rôle, identifiants de connexion.
- Communications : demandes que vous adressez à votre DPO, réponses, pièces jointes.
- Documents : fichiers que vous déposez (politiques, registres, contrats…).
- Données d'usage techniques : journaux de connexion et de sécurité.
Note : dans un contexte humanitaire, les documents et demandes peuvent contenir des données de personnes vulnérables. Nous appliquons à ce titre une vigilance renforcée (minimisation, accès restreint).
3. Finalités et bases légales
| Finalité | Base légale (RGPD art. 6) |
|---|---|
| Fournir le portail et gérer votre compte | Exécution du contrat |
| Traiter vos demandes et y répondre | Exécution du contrat |
| Emails transactionnels (invitations, réinitialisation, notifications) | Exécution du contrat |
| Sécurité, prévention des abus, journalisation | Intérêt légitime |
| Respect de nos obligations légales | Obligation légale |
Nous ne réalisons pas de prospection commerciale ni de profilage à partir de ces données. Aucun consentement n'est requis pour l'utilisation du portail, le traitement reposant sur le contrat et l'intérêt légitime. Un consentement distinct ne serait demandé que pour un usage optionnel (ex. une future newsletter).
4. Sous-traitants et transferts
Nous faisons appel aux sous-traitants suivants, tous établis dans l'Union européenne et encadrés par des accords de traitement. Tout transfert hors UE qui viendrait à être nécessaire serait encadré par des clauses contractuelles types.
| Sous-traitant | Service | Localisation | Garanties |
|---|---|---|---|
| Gandi SAS | Hébergement des serveurs et de la base de données du portail | Union européenne (France) | Serveurs dédiés situés en France — aucun transfert hors UE. |
| Mistral AI | Assistant IA & extraction des métadonnées de documents | Union européenne (France) | Fournisseur européen — pas de transfert hors UE. Traitement encadré par les conditions de Mistral AI. |
| Scaleway SAS (Transactional Email) | Envoi des emails transactionnels | Union européenne (France) | Fournisseur français — aucun transfert hors UE. Accord de traitement avec Scaleway. |
| Scaleway SAS (Object Storage) | Stockage des fichiers (documents, pièces jointes) & sauvegardes | Union européenne — région fr-par (Paris, France) | Fournisseur français ; bucket privé (aucun accès public), URLs signées à durée limitée, accord de traitement avec Scaleway. |
5. Durées de conservation
| Donnée | Durée |
|---|---|
| Comptes utilisateurs (identité, connexion) | Durée du contrat + 3 ans, puis suppression |
| Demandes et réponses du DPO | Durée du contrat + 3 ans (preuve de conformité) |
| Documents & pièces jointes du client | Durée du contrat ; restitués ou supprimés à la fin |
| Jetons de connexion sans mot de passe (liens magiques) | Supprimés une fois utilisés ou expirés (purge automatique) |
| Sessions | Expirent automatiquement ; sessions expirées purgées chaque jour |
| Sauvegardes de la base de données | Supprimées après la fenêtre de rétention (60 jours par défaut) |
| Données prospects (sans contrat) | 24 mois après le dernier contact, puis suppression |
6. Vos droits
Vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité sur les données dont nous sommes responsables. Pour les exercer, écrivez à dpo@reliefapplications.org. Vous pouvez également introduire une réclamation auprès de la CNIL (Commission nationale de l'informatique et des libertés, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — www.cnil.fr) ou de votre autorité de contrôle compétente.
Lorsque les données concernent celles déposées par votre organisation, nous relayons votre demande au responsable de traitement (votre organisation), conformément au DPA.
7. Cookies
Le portail n'utilise que des cookies strictement nécessaires à
son fonctionnement : cookie de session, cookie de préférence de langue
(dpo_portal_language) et cookie d'authentification. Aucun cookie de
mesure d'audience, de publicité ou de suivi tiers n'est déposé. À ce titre,
aucun bandeau de consentement n'est requis. Si nous ajoutons un jour des
traceurs non essentiels, un consentement préalable vous sera demandé.
8. Sécurité
Nous mettons en œuvre des mesures techniques et organisationnelles appropriées : hébergement sur des serveurs dédiés situés en France, chiffrement des échanges (HTTPS/TLS), fichiers stockés dans un espace privé accessible uniquement via des liens signés à durée limitée, jetons de connexion stockés sous forme hachée, cookies sécurisés en production, sauvegardes chiffrées à rétention limitée, cloisonnement des données par organisation, et accès restreint au personnel habilité. Le détail de ces mesures figure à l'annexe 2 de l'Accord de traitement des données.
9. Modifications
Cette politique peut évoluer. La version en vigueur est datée en haut de page ; les changements importants vous seront signalés.